Trojan:Win32/Powemet.A!attk и не только

@Joramormont · Регистрация: 06.11.2019

Студворк — интернет-сервис помощи студентам

Здравствуйте, Windows Defender второй день по несколько раз блокирует угрозу Trojan:Win32/Powemet.A!attk, а так же пару раз были другие трояны, но не успел зафиксировать.
SpyHunter 5 нашёл вроде, но нужно ждать 48 часов. Dr Web CureIt не нашёл ничего.

@thyrex · 10.07.2022, 00:08

Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема.

Добавлено через 1 минуту
Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос.

@Joramormont · 10.07.2022, 00:10 **[ТС]**

А как удалить активатор? Он портабельный

Добавлено через 46 секунд
Или я не понял, что подразумевается под "активатор"..

@thyrex · 10.07.2022, 00:20

KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика

@Joramormont · 10.07.2022, 00:27 **[ТС]**

Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать?

@thyrex · 10.07.2022, 00:44

Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново

Добавлено через 41 секунду
После удаления папки естественно перезагрузиться и смотреть реакцию Защитника

@Joramormont · 10.07.2022, 00:48 **[ТС]**

Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего?

@SQx · 10.07.2022, 06:34

Здравствуйте,

Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника.

P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe

@Joramormont · 10.07.2022, 12:17 **[ТС]**

Как ни странно, удаление папки kms ничего не дало.
https://disk.yandex.ru/d/BvK95v2QImcDog

@SQx · 12.07.2022, 02:15

Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы?

Могли бы также собрать следующий лог: Kaspersky Get System Info

@Joramormont · 12.07.2022, 10:52 **[ТС]**

Защитник срабатывает независимо от того, включаю я что либо или нет. Он срабатывает через 2-3 минуты после запуска, но в журнале время стоит как раз эти 2-3 минуты назад. Без интернета тоже срабатывает

@SQx · 13.07.2022, 01:19

В логах GSi также ничего вредоносного не заметил.

Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК.
Также могли пожалуйста также сменить пароль к учетной записи Windows.

@SQx · 13.07.2022, 14:45

Здравствуйте,

Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования.

@Joramormont · 13.07.2022, 15:10 **[ТС]**

Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной?

@SQx · 13.07.2022, 15:16

Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо

@Joramormont · 13.07.2022, 22:53 **[ТС]**

Ни обычная, ни расширенная версия к сожалению ничего не нашли

Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg

@SQx · 14.07.2022, 14:41

Здравствуйте,

Логи KVRT можете удалять.

Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней.

На данный момент пока у меня нет других подробностей. Спасибо.

@Joramormont · 14.07.2022, 22:14 **[ТС]**

Спасибо большое. Жду

@SQx · 19.07.2022, 13:17

Здравствуйте,

Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле?

@Sandor · 19.07.2022, 13:24

Если это KVRT, то упакуйте папку

C:\KVRT2020_Data\Reports

и прикрепите к сообщению.

@Joramormont · 19.07.2022, 18:10 **[ТС]**

KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю?

Новые блоги и статьи Все статьи Все блоги /
Беседа с ИИ о программистах, недопускающих к созданию и правке кода генеративные ИИ и причины этого zorxor 21.09.2026 Раньше я радовался или получал некоторые эмоции, пусть небольшие, но всё же, от самого процесса написания кода, рекомпиляции и запуска, видя постепенное развитие программы и прочее. А теперь лень. . .	Мобильное приложение ColorStep pavlinmavlin 17.09.2026 Реализовал приложение Красный, Зеленый, Синий в Unity3d + c#. Название изменил на ColorStep. Приложение прошло модерацию и теперь доступно для скачивания. Делал его сам, шаг за шагом — и вот,. . .	Запрет дублирования строк в табличной части Maks 13.09.2026 Реализация из решения ниже выполнена на нетиповом справочнике "Нормы ТО" с табличной часть "Виды ТО", разработанного в КА2, со следующими реквизитами: - ВидТО (СправочникСсылка. ВидыТО); - ВидГСМ. . .	Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Jin X 06.09.2026 Скрипты Tampermonkey для CyberForum, ChatGPT, Claude и пр. Работая с форумом и нейросетями в браузере часто хочется что-то подкорректировать или добавить какого-то функционала. Ниже прикреплён. . .
Программа опроса у.з. расходомера SLS-720F Argus19 02.09.2026 Программа опроса у. з. расходомера SLS-720F Программа опрашивает один раз в минуту три ультразвуковых расходомера SLS-720F через интерфейс RS-485 по протоколу Modbus RTU. Опрашиваются регистры. . .	Hyper-V: Компьютер должен поддерживать доверенный платформенный модуль 2.0. Maks 31.08.2026 При установке Windows 11 на виртуальную машину Hyper-V 2-го поколения вылезла такая ошибка: Решение: в параметрах виртуальной машины, в разделе "Безопасность" (Security) активировать флаг. . .	Архитектура биовида Стива в Майнкрафте: Зачем бонобо кубический каннибализм anaschu 30.08.2026 Кубический Вагинокапитализм в Minecraft: Математический инвариант ОДУ и рок Стивов-бонобо Главная задача разработанной «Модели Всего» — наглядно продемонстрировать наличие системной «судьбы». . .	Оттачиваю умение писать js программы. russiannick 30.08.2026 Проектом выходного дня стало написание Книги шифров Виженера. Итогом стала версия 200, синий туман. Синий туман назван так, потому что замораживает текст под собой. Нажатие синих кнопок управляют. . .

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,195
	10.07.2022, 00:08
	Тогда как вариант попробовать снести активатор (хотя на не родной по идее Защитник должен был тоже реагировать) и проверить, будет ли воспроизводиться проблема. Добавлено через 1 минуту Папка от AmmyAdmin сохранилась в ProgramData, если судить по последнему логу Farbar. Тоже под снос. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:10 [ТС]
	А как удалить активатор? Он портабельный Добавлено через 46 секунд Или я не понял, что подразумевается под "активатор".. 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,195
	10.07.2022, 00:20
	KMS Auto же вроде бы используете. Как минимум папку с ним нужно удалить, если он не родной. Хотя в неродном кажется есть возможность удаления при запуске установщика 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:27 [ТС]
	Что значит не родной? Кмс вроде в архиве , его удалю. А дальше что нужно сделать? 0

@thyrex 14471 / 7510 / 1584 Регистрация: 06.09.2009 Сообщений: 27,195
	10.07.2022, 00:44
	Есть еще папка C:\ProgramData\KMSAuto. Архив с активатором не трогайте. Если не он виновник бед, то придется же систему активировать заново Добавлено через 41 секунду После удаления папки естественно перезагрузиться и смотреть реакцию Защитника 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 00:48 [ТС]
	Спасибо. Все завтра уже сделаю. Правильно понял, что сейчас нужно только папку удалить и перезагрузиться, больше ничего? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	10.07.2022, 06:34
	Здравствуйте, Попробуйте также запустить утилиту Procmon и проверить, если он отлавливает процесс cmd.exe на момент срабатывания зашитника. P.S.Отфильтруйте по имени процесса (Proccess name) cmd.exe 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	10.07.2022, 12:17 [ТС]
	Как ни странно, удаление папки kms ничего не дало. https://disk.yandex.ru/d/BvK95v2QImcDog 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	12.07.2022, 02:15
	Не удается отловить источник. Могли бы уточнить, если вы запускаете какие-то программы перед возникновением проблемы? Могли бы также собрать следующий лог: Kaspersky Get System Info 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 01:19
	В логах GSi также ничего вредоносного не заметил. Лаборатория Касперского добавила детект как Trojan-Downloader.PowerShell.Agent.rp, могли бы скачать KVRT и проверить ПК. Также могли пожалуйста также сменить пароль к учетной записи Windows. 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 14:45
	Здравствуйте, Ранне я отправлял ссылку на стандартную версию, но могли бы пожалуйста проверить расширенной версией KVRT, требуются все логи из C:\KVRT_Data, полученные после завершения процесса сканирования. 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 15:10 [ТС]
	Здравствуйте, у меня уже 5 часов сканируется) Отменить, поставить с расширенной? 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	13.07.2022, 15:16
	Если осталось немного подождать подождите пожалуйста его завершения. Если он не поможет найти источник повторного заражения, то пожалуйста запустите расширенную, так как у него расширенные возможности. Спасибо 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	13.07.2022, 22:53 [ТС]
	Ни обычная, ни расширенная версия к сожалению ничего не нашли Вот логи https://disk.yandex.ru/d/6amZPobhp94zcg 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	14.07.2022, 14:41
	Здравствуйте, Логи KVRT можете удалять. Вирусным аналитикам ЛК удалось найти вредоносное ПО в лога KVRT, оно будет детектироваться как HEUR:GenericAutorun.Powedon.j и удаляться при полной проверке. Детект выйдет приблизительно через 2-5 дней. На данный момент пока у меня нет других подробностей. Спасибо. 1

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	14.07.2022, 22:14 [ТС]
	Спасибо большое. Жду 0

@SQx Вирусоборец 157 / 151 / 28 Регистрация: 12.01.2017 Сообщений: 685
	19.07.2022, 13:17
	Здравствуйте, Я получил сообщение от ЛК детект HEUR:GenericAutorun.Powedon.j со вчера 15 июля, должен уже обнаруживаться несколько раз в день. Уточните пожалуйста, если продукты Лк установленные на вашем компьютеры детектят источник заражения, если да сообщите пожалуйста в каком файле? 0

@Joramormont 1 / 1 / 0 Регистрация: 06.11.2019 Сообщений: 78
	19.07.2022, 18:10 [ТС]
	KIS лицензия сегодня при полной проверке также ничего не нашёл, при отключения дефендер детектит. Может я что то не так делаю? 0